★ 北京啟明星辰信息安全技術有限公司 丁若凡，黃文，李鑫力

關鍵詞：工業數據安全；連接認證；工控設備；可編程邏輯控制器；加密算法

1   引言

近年來， 隨著工業控制系統與信息技術深度融合，5G工業互聯網、邊緣計算等新興工業技術逐漸普及，工業數據在公網和企業內網中的流動范圍和應用廣度顯著擴大。工業數據是指在工業生產和運營過程中產生、采集、傳輸、處理和存儲的各類數據。這些數據貫穿工業系統中從底層設備到上層管理系統的各個環節，具有強烈的業務關聯性和時效性， 是工業企業實現自動化控制的核心資源和關鍵資產[1]。

傳統工控設備計算資源受限、實時響應要求高，存在安全設計先天不足的缺陷。因此， 工業環境普遍采用網絡隔離、協議白名單、輕量級密鑰管理等方式[2]構建安全系統， 以避免內網中安全防護薄弱的工業設備和數據遭受外來威脅。然而，隨著工業互聯網的縱深發展，工業網絡與企業管理網、互聯網乃至云端實現互聯，數據在其中高速流動，傳統的安全邊界正在不斷模糊化。一旦物理阻隔失效，封閉的工業內網將暴露在潛在的遠程攻擊之下。

盡管部分工業控制系統已針對數據安全需求進行加固，但由于工控系統的底層設計邏輯相對固定，其固有安全缺陷仍將長期存在[3]。因此，需結合工業數據的采集、傳輸、存儲、使用特性，在工業系統的關鍵節點構建水平更高、系統性更強的數據安全防護機制，推動工業企業從傳統“邊界防御”向以“數據節點為中心”的縱深防御架構轉型，實現數據全生命周期的全面防護。

2   工業數據安全的關鍵節點

從現場控制層到企業管理層，現代工業網絡呈現出層次化、分區化的互聯結構。體系中的生產指令、狀態反饋、工藝參數等信息，需要在各層級、各區域間廣泛分布并持續流動。這些數據的源頭、匯聚點與核心處理單元，最終指向工業網絡中的實體存在，即可編程邏輯控制器（Programmable Logic Controller， PLC）、數據采集與監視控制系統（Supervisory Control and Data Acquisition， SCADA）、遠程終端單元（Remote Terminal Unit， RTU）等工控設備。它們不僅充當生產控制的執行者角色， 更是工業數據安全的關鍵節點，具體體現在以下四個方面：

（1）工控設備是工業數據的生成節點。作為連接信息空間與物理世界的橋梁， 工控設備通過傳感器，持續、高頻率地采集溫度、壓力、流量、電流、位移等原始物理量， 并將模擬信號轉換為數字信號，這一過程是工業數據生命周期的起點。在此過程中所生成數據的準確性、實時性與完整性， 直接決定了上層所有數據應用與決策的質量。因此，守護數據生成源頭的安全，防止數據在生成節點被篡改或偽造，是保障工業數據安全的前提。

（2）工控設備是工業數據的存儲節點。為確保生產的連續性與可靠性，防止工控設備的啟停、維護對生產造成影響，多數工控設備都內置了斷電存儲模塊和日志系統。它們不僅可以臨時緩存設備運行產生的實時數據，還能夠持久保存歷史趨勢曲線、報警記錄和操作日志。這種本地化存儲機制在網絡中斷時能保障數據的完整性，并為事故追溯提供原始憑證。由此可見，設備內存儲數據的安全性，尤其是機密性與完整性，對于防止關鍵工藝參數和生產記錄泄露或丟失十分重要。

（3）工控設備是工業數據的傳輸節點。在復雜的工業網絡拓撲中，工控設備承擔著繁重的數據路由與轉發任務。在橫向層面，不同控制器（如PLC與PLC）之間需要通過私有或專用協議進行實時、確定性的對等通信；在縱向層面，它們則作為通信網關，將現場層的數據通過Modbus、PROFINET、OPC UA等標準化工業協議，匯聚并上傳至SCADA、MES等上位系統。這一角色使得工控設備成為數據流的關鍵隘口，其傳輸過程的安全（如防竊聽、防重放攻擊）直接關系到整個工業網絡數據流的可信度。

（4）工控設備是工業數據的應用節點。工控設備是直接連接生產設備的運算器，它們接收來自上層或相鄰系統的通信數據和控制指令，并依據內置的邏輯程序進行實時運算、分析判斷，最終驅動現場的執行器完成相應動作。這一過程實現了數據到控制的閉環，是工業數據價值最終實現的環節。確保此環節中數據處理邏輯的完整性與可靠性， 是防止生產破壞和物理損害的根本。

綜上所述， 工控設備作為工業數據在生成 、 存儲、傳輸與應用環節的核心載體，其深度嵌入生產流程的特性，使其安全狀態直接決定了整個工業數據生態的可靠性、機密性與完整性。同時，工控設備軟硬件的安全性直接決定了工業數據的可讀性與可用性[4]。將工控設備視為工業數據安全體系的關鍵節點，不僅是基于其技術功能的必然選擇，更是構建縱深防御體系的戰略支點。

3   工控設備連接認證機制

傳統工控系統在設計上優先考慮的是實時性、可靠性與可用性，其安全機制普遍存在先天缺陷，難以抵御日益復雜的網絡攻擊。在當前工業現場的應用環境中，工業系統主要采用分層防護機制，依靠工業防火墻等軟硬件設備進行防護。一旦外部防御被突破，工控設備自身的安全防護機制將成為保障數據安全的最后一道防線。

因此，要基于工控設備構建有效的防護體系，必須首先深入理解工控設備自身的安全防護機理及其面臨的現實威脅。本文從“攻防對抗”的視角出發，系統梳理了現有工控設備內生安全機制的類型和演化路徑，詳細剖析了針對這些機制的典型攻擊方法，旨在為后續的風險評估與防護策略設計提供清晰的技術依據。

3.1   工控設備安全機制

當前，各類工控設備的安全機制設計因廠商、功能及應用場景不同，彼此之間存在較大差異，主要體現在安全目的和實現方法上。通過研究歸類，如表1所示，我們總結歸納了市面上不同工控設備安全機制的類別。

表1 工控設備安全機制類別

表1列舉的安全機制代表了當前工控行業為確保工控設備自身的安全性所采用的主要技術路徑。在實際應用中，這些機制雖已廣泛內嵌于各類設備中，但并非所有機制都會在同一款設備上同時啟用。廠商通常會根據設備的具體功能定位、所承載業務的關鍵程度以及部署環境的實際威脅態勢，進行綜合評估與取舍，從而在設備中有針對性地配置機制組合，形成適配特定場景的安全防護策略；工程師也會基于工業產線的具體需求，啟用不同的安全性能。這種靈活變通的安全設計，體現了工業層面的務實考量。

3.2   工控設備連接認證機制的進化

前文所述的各類工控設備安全機制在安全目的和實現方式上存在顯著差異，其中連接認證機制的重要性尤為突出。簡化的工控設備連接認證機制如圖1所示。連接認證不僅在邏輯時序上處于所有遠程訪問的起點，更是后續一切權限管理與操作執行的前提。若連接認證機制被繞過或攻破，則外部實體便可長驅直入，使得基于用戶、程序、文件的內部精細權限控制系統面臨直接威脅。因此，確保訪問控制機制的安全性與魯棒性，是保障數據的機密性、完整性與可用性的第一道防線。

圖1 簡化的工控設備連接認證機制

國內外各工控廠商均十分重視工控設備的連接認證機制的開發和迭代。但由于不同廠商、不同系列的技術特色和設備定位有不同 ，其設計思路也各有側重，因此實際的安全防護性能也參差不齊。但無論市面上的哪種工控設備，其連接認證機制的安全強度均可從以下三個技術維度進行評估：

（1）認證方式。整個認證校驗機制的認證信息交互方式、校驗過程的邏輯原理。

（2）加密算法。上位機客戶端與設備之間通信數據核心加密算法的密碼學強度。

（3）保護范圍。連接校驗機制保護所覆蓋的協議范圍。

雖然不同廠家不同時期的產品各異，但就技術而言，隨著產品不斷升級更新，不同安全機制的安全性能由原始到先進，由簡單到復雜，是總體的趨勢。考慮到工業設備的易用性需求，高安全性的連接認證機制并非一開始就被納入工控設備的設計思路中，而是伴隨著威脅的升級、安全需求的提升不斷進化迭代，其路徑如表2所示。

表2 工控設備連接認證機制進化迭代路徑

4   應用案例分析

連接認證機制的繞過是十分嚴重的工控設備安全缺陷，也是工控系統最危險的攻擊面之一，許多高危乃至超危工控漏洞都誕生于此。在實際攻防對抗中，存在多種針對訪問控制機制的繞過方法，包括字典爆破、報文重放、后門功能、中間人攻擊、協議實現等。攻擊者往往會依據目標設備特征，靈活組合多種技術路徑，實施多階段、遞進式的復合攻擊，最終繞過目標工控設備的連接認證機制，獲得設備訪問權。

為進一步闡明上述攻擊路徑在實際環境中的具體表現形式與危害，本章將以施耐德Modicon M580 PLC中存在的認證繞過漏洞（CVE-2021-22779）[5]為例，分析漏洞原理，討論漏洞成因。該漏洞是工控領域因協議設計缺陷導致連接認證機制失效的典型代表，也是理解工控設備連接認證機制理論與應用的磨合中存在實際風險的直觀案例。

4.1   連接認證過程分析

2020年，施耐德電氣為旗下的Modicon M340和Modicon M580兩款PLC產品開發了新的“應用程序密碼”機制，以保護PLC不被未經授權的遠程攻擊者控制并竊取數據。用戶在通過上位機軟件Control Expert申請連接已加密PLC時，只有輸入正確的應用程序密碼后，才能獲取PLC的訪問令牌。然而，上述“應用程序密碼”的認證校驗機制被發現存在訪問控制漏洞，官方賦予其編號CVE-2021-22779。本節以Modicon M580 PLC為例對此漏洞展開詳細分析。

“應用程序密碼”機制的實現，基于用戶通過上位機的Control Expert軟件與Modicon M580 PLC進行的通信，在用戶輸入密碼后完成認證。整個認證過程分為兩個會話環節：Control Expert認證和PLC端認證。

首先是Control Expert認證部分。當外界用戶通過Control Expert申請訪問時， Control Expert會與PLC展開第一次會話。在會話中Control Expert會向 PLC （端口502/TCP）發送請求，使用施耐德UMAS協議的功能碼0x20讀取PLC的內存塊。該請求不需要身份驗證，也不需要用戶輸入密碼信息。隨后Control Expert收到來自PLC的響應，響應信息中即包含存儲在PLC中應用程序密碼的密碼哈希。

在用戶輸入密碼后， Control Expert會將用戶輸入密碼的哈希值與PLC響應的哈希值進行比對，若相同則進入第二步PLC端認證，否則終止。

如圖2所示，在PLC端認證部分， Control Expert會與PLC進行一次雙向認證校驗，其中認證算法基于sha256。最終， Control Expert端的用戶獲取到來自PLC的會話ID。

圖2 PLC端認證交互過程

分析上述“應用程序密碼”機制全過程，可知PLC在Control Expert認證環節，會將參與驗證信息運算的關鍵值，即PLC中項目工程的應用程序密碼的密碼哈希，直接發送到Control Expert。這意味著外部用戶無需知曉真正的應用程序密碼，即可直接從PLC獲取設備的密碼哈希。攻擊者可以利用這一機制編寫exp腳本，通過交互計算認證信息，從而繞過PLC的連接認證校驗，獲取訪問權限。

4.2   問題討論和解決方案

上述施耐德Modicon M580 PLC的訪問控制機制雖然近似普通連接認證，但其特點在于采用了兩步認證的規則：先從Modicon M580 PLC端獲取密碼哈希，進行Control Expert端認證，再通過Control Expert與Modicon M580 PLC進行交互并計算認證信息，進行PLC端認證。這與常見訪問控制機制存在一定差異。

考慮認證機制本身，若舍棄第一步Control Expert認證環節，直接以用戶輸入密碼的密碼哈希進行雙向認證的信息計算，并以校驗結果判斷授權，則在認證方式維度上具備中高級的安全性，在加密算法維度上具備等效中高級的安全性，且能夠保護UMAS私有協議下需要建立連接才能獲取的一切資源，可以認定該機制具備較高強度的可靠性。

然而，對施耐德Modicon M580 PLC來說，第一步Control Expert認證環節密碼哈希這一極端敏感的數據暴露獲取于前， 第二步PLC端認證環節認證信息的計算方式被逆向解密于后， 則該款PLC的訪問控制機制在有意獲取工業數據的攻擊者面前已無任何阻礙可言。

雖然官方沒有公開說明設計此種存在泄密風險的兩步認證機制的思路，但閱讀圖3所示Control Expert官方技術文檔中涉及“忘記密碼”的概述，可以推斷，該機制的設計初衷可能是為了配合官方預留的售后密碼重置服務。該服務需要用戶在不知道密碼的情況下通過認證，這一需求使得Control Expert需要能夠預先獲取密碼哈希。

圖3 Control Expert技術文檔所述重置密碼方式

雖然施耐德Modicon M340/M580 PLC的上述有缺陷的訪問控制設計事出有因，但由于該設備應用廣泛且裝機量巨大，因此漏洞一旦爆出，造成的影響將會十分惡劣。官方因此于2023年8月起陸續發布了新版PLC固件和上位機軟件，針對該漏洞設計了改良的連接校驗機制。新版機制并未放棄兩步認證機制，而是將Control Expert認證環節中PLC響應至Control Expert的密碼哈希改為基于RSA2048算法加密的鹽和密文。

新的機制通過引入基于非對稱密碼學的雙向認證算法，既避免了密碼信息直接泄露，又保留了官方設計的售后解密接口，在安全性上趨于完善，達到了本文所標定的高安全性機制要求—前提是，保證算法密鑰永不泄露。

4.3   案例成因和啟示

結合漏洞案例可知，工控設備連接認證機制在理論與現實之間常存在顯著落差。圍繞不同維度，為工控設備構建高安全強度的連接認證機制，在技術層面上具備充分可行性。但在工業現場的實際安全實踐中，連接認證機制的落地效果常受到多重現實因素的制約，安全方案往往需要作出相應妥協：

其一，系統兼容性與歷史遺留問題。工業系統生命周期長，網絡中存有大量服役多年的老舊設備與協議。這些設備在設計之初往往缺乏完善的安全機制，且難以支持新的安全協議升級；

其二，成本與運維負擔。高安全性連接認證機制往往伴隨部署復雜度提升與運維成本增加，在強調可用性與效率的工業場景中難以全面推行。為保障工業現場實時控制與生產連續性，設備使用者可能傾向于選擇在實際使用中降低認證強度；

其三，功能與安全的矛盾。為達成廠商的預期目標、實現產品的特色功能，項目開發者可能會選擇為設備設計強度較低的安全機制。

從工業數據安全的角度分析，這些妥協會帶來不容忽視的風險。可被繞過的連接認證機制擴展了系統的潛在攻擊面，使工控設備暴露于未授權訪問、數據篡改、惡意控制等多重威脅之下，甚至可能由單一設備漏洞引發波及整個產線、整個生產部門的故障，最終影響生產系統的物理安全與運行穩定性。

5    結論與展望

5.1   結論

工控設備是工業數據安全的核心載體與關鍵節點，也是構建工業網絡安全縱深防御體系的戰略支點。工控設備的連接認證機制是工控設備安全的首要防線，其設計和實現的缺陷構成了工控系統最危險的攻擊面之一。

在此基礎上，本文結合當前市面上工控設備的應用現狀，總結了主流使用的工控設備連接認證機制，提出了決定工控設備連接認證機制安全強度的三個技術維度，并以此為依據歸納了工控設備連接認證機制的演進歷程。

本文通過施耐德Modicon M580 PLC漏洞案例的原理分析與成因探究，進一步說明了工控設備的連接認證機制不僅取決于技術上限是否能做到高安全性，還需要考慮諸多現實因素。因此，在實際應用中，最高安全等級的技術方案往往難以落地實施。工業安全是動態平衡的藝術，安全從業人員往往需要在安全目標與工業系統的可用性、可靠性、經濟性之間尋求務實且可持續的平衡點。

5.2   未來展望

面向工業互聯網深度融合與新型工業化快速推進的未來，工業數據安全對工控設備自身安全性能的要求日益提升，工控設備安全領域仍面臨深刻變革。如何在性能、功能與成本制約的前提下實現有效的安全防護，成為當前工控安全領域面臨的重大挑戰。以下幾方面值得持續關注與深入研究：

（1）密碼算法與連接機制創新：隨著計算能力的不斷提升，當前具備高安全性的訪問控制機制未來可能不再安全。因此，有必要提前預判這一趨勢，探索在保證設備功能性、穩定性不受影響的前提下，以工控設備本身的有限資源平臺為基礎，開發在工業環境下具有更高強度、更輕量級的密碼算法的適配與應用，為工控設備、工控系統構建兼具安全性和實用性的防護機制。

（2）老舊設備的安全管理及更新策略研究：存量巨大且生命周期漫長的老舊工控設備，其安全加固與有序更新是工業體系持續穩定運行的重大現實課題。未來研究應著力于探索適用于老舊設備群體的非侵入式安全增強技術，構建規律的設備生命周期管理日程表，對老舊設備進行資產清點、漏洞評估與風險分級，制定差異化的清退替換路線圖，在保障生產連續性的前提下，分階段、低成本地實現設備安全能力與業務功能的迭代。最終，形成技術可行、經濟可承受、運維可持續的老舊設備安全管理方案，彌合歷史系統與現代化安全要求之間的鴻溝。

（3）安全標準與合規體系的完善：當前，工控設備廠商在連接機制設計上往往傾向于采用私有協議與差異化方案，這雖然在市場競爭中形成了技術特色，但也導致了安全機制的碎片化與設備間兼容性的不足，不僅增加了系統的復雜性和管理成本，還引入了新的安全隱患。展望未來，亟需從行業層面推動工控設備連接認證機制的標準化與分級規范制定。具體而言，應建立一套科學、公開、可測試的安全能力分級標準（例如，依據認證強度、加密算法、保護范圍等維度劃分等級），并明確各等級必須滿足的技術要求與檢測規范。此舉旨在引導廠商在統一框架下進行合規性設計與創新，使安全功能從“差異化競爭點”轉向“可量化、易操作的基礎能力”，從而在保障市場競爭活力的同時，顯著提升整個工控生態的安全基線水平與協同防御能力。

作者簡介：

丁若凡（1995-） ，男 ，江蘇人 ，碩士 ，現就職于北京啟明星辰信息安全技術有限公司 ，主要研究方向為工業控制系統信息安全。

黃   文（1988-） ，女 ，湖南人 ，碩士 ，現就職于北京啟明星辰信息安全技術有限公司 ，主要研究方向為漏洞挖掘、物聯網安全、工控安全。

李鑫力（1977-） ，男 ，吉林人 ，學士 ，現就職于北京啟明星辰信息安全技術有限公司 ，主要研究方向為漏洞挖掘、滲透測試、工控安全。

參考文獻：

[1] 王建民. 工業大數據技術綜述[J]. 大數據, 2017, 3 (06) : 3 - 14.

[2] Eldefrawy MH, Pereira N, Gidlund M. Key Distribution Protocol for Industrial Internet of Things without Implicit Certificates[J]. IEEE Internet of Things Journal, 2018, 6 (1) : 906 - 917.

[3] 王強, 向嫄, 汪大明, 等. 工業控制系統面臨的網絡安全風險研究[J]. 網絡安全技術與應用, 2025, (05) : 16 - 19.

[4] 金增旺, 江令洋, 丁俊怡, 等. 工業控制系統安全研究綜述[J]. 信息網絡安全, 2025, 25 (03) : 341 - 363.

[5] CVE-2021-22779,https://cve.mitre.org/cgi - bin/cvename.cgi?name=2021-22779[EB/OL], 2021 - 01 - 06.

摘自《自動化博覽》2026年6月刊